Hírolvasó

A Microsoft szerint egy incidens miatt nem tudtak fájlokat megnyitni a Teams és az Office Online felhasználói. Egyelőre nem tudni mely régiók érintettek az ügyben, illetve mikorra várható a hiba tényleges kiküszöbölése, de a Microsoft jelenleg is vizsgálja a problémát kiváltó lehetséges okokat. A cég elmondása szerint egyes felhasználók arról számoltak be, hogy a webes […]

Belgium Kiberbiztonsági Központja (CCB) szerint a kiberbűnözők aktívan kihasználnak egy nemrég javított Windows Netlogon sérülékenységet (CVE-2026-41089). A Netlogon egy RPC-alapú, alapvető Windows Server háttérszolgáltatás, amelynek feladata, hogy hitelesítse a szolgáltatásokat és a felhasználókat a Windows tartományalapú hálózatokon. A szóban forgó sérülékenység egy puffertúlcsordulási hiba, ami jogosultság nélküli távoli kódfuttatást tehet lehetővé a célzott tartományvezérlőkön. A […]

A holland rendőrség a Nemzeti Kiberbiztonsági Központ (NCSC) együttműködésével végzett nyomozása során sikeresen leállított egy mintegy 17 millió fertőzött eszközből – köztük számítógépekből, tabletekből és egyéb okoseszközökből – álló bothálózatot. Az akció során több mint 200, a hálózat működését kiszolgáló szervert foglaltak le. A botneteket illegális kiberműveletekhez, például elosztott szolgáltatásmegtagadási (DDoS) támadásokhoz, rosszindulatú forgalom proxy […]

Overview

The PCTCore64.sys Windows kernel driver from PC Tools Internet Security exposes its \\.\PCTCoreDriver device interface with no access control, allowing any user-mode process to interact with the driver and invoke privileged IOCTL (I/O Control) commands. In a Bring Your Own Vulnerable Driver (BYOVD) scenario, a local attacker with the ability to load a Windows driver can exploit the exposed interface to perform sensitive low-level operations on the target device.

Description

PCTCore64.sys is a Windows kernel driver that implements system monitoring and protection functionality on local Windows systems. The driver creates a Windows Driver Model (WDM) device object \\.\PCTCoreDriver via IoCreateDevice and provides user-mode access through a DOS device symbolic link via IoCreateSymbolicLink.

The driver exposes privileged functionality intended for administrative or security operations; however, the device object is created without a restrictive security descriptor. Specifically, the driver does not apply security best practices using either Security Descriptor Definition Language (SDDL) or the IoCreateDeviceSecure API, allowing unprivileged user-mode processes to open handles to the device and issue privileged IOCTL requests.

As a result, an attacker may invoke IOCTL handlers capable of performing sensitive low-level operations, including:

• System-wide handle enumeration
• Cross-process handle manipulation
• Credential extraction from lsass.exe
• Forced termination of arbitrary processes, including Protected Process Light (PPL)-protected processes

Although the original PC Tools Internet Security product line was discontinued in 2013 and is no longer maintained, the driver remains signed and can still be abused in BYOVD attacks. An attacker may load the vulnerable driver on a target system and leverage the exposed IOCTL interface to access privileged kernel functionality.

One vulnerable IOCTL permits the acquisition of a PROCESS_ALL_ACCESS handle to sensitive processes such as lsass.exe, enabling credential theft operations including extraction of NTLM hashes and Kerberos authentication material. Additional IOCTL handlers permit the termination of arbitrary processes regardless of PPL protections, enabling attackers to disable security software such as Microsoft Defender and other critical system services. Other exposed interfaces enable arbitrary handle operations against external processes, potentially resulting in process instability, crashes, or undefined behavior. Collectively, these vulnerabilities can be exploited to provide a practical attack path for credential theft, defense evasion, privilege escalation, and broader system compromise.

CVE-2026-8501 Improper access control in the PCTCore64.sys Windows kernel driver from PC Tools Internet Security allows user-mode processes to access the PCTCoreDriver WDM device interface and invoke privileged IOCTL handlers. A local attacker with the ability to access or load the affected driver can exploit this vulnerability to perform sensitive and privileged operations on the target system.

Impact

A local attacker with the ability to load a Windows kernel driver may exploit the vulnerable PCTCore64.sys driver to access sensitive processes such as lsass.exe and other PPL-protected services. Successful exploitation can enable credential theft, arbitrary process termination, denial-of-service (DoS) conditions, and broader system compromise through privileged kernel-level operations.

Solution

The PC Tools Internet Security product line and its PCTCore64.sys driver are no longer actively maintained and should not be used in production environments. Organizations should remove and block the vulnerable driver where possible and implement mitigations designed to reduce exposure to BYOVD attacks, including restricting administrative privileges, enforcing Microsoft recommended driver block rules, and enabling protections such as Hypervisor-Protected Code Integrity (HVCI), Windows Defender Application Control (WDAC), and Credential Guard.

Acknowledgements

Thanks to Tzachi Hazan for researching and reporting this vulnerability. This document was written by Molly Jaconski.

Overview

Casdoor versions 2.362.0 and earlier contain several identity and access management vulnerabilities that enable broad authentication bypass and privilege escalation. These flaws relate to Casdoor’s Security Assertion Markup Language (SAML) processing, account binding, and token exchange mechanisms. An attacker able to interact with Casdoor’s authentication interface may impersonate users, bypass multifactor authentication (MFA), forge and replay assertions, and achieve persistent unauthorized access.

Description

Casdoor is an open-source identity and access management (IAM) platform and Model Context Protocol (MCP) gateway that provides authentication, single sign-on, and multi-protocol identity services. It is designed to centralize and streamline access control, allowing organizations to manage user identities and permissions across multiple applications and environments.

CVE-2026-9090
Casdoor versions 2.362.0 and earlier contain a vulnerability that allows an attacker to bypass authentication by supplying an arbitrary signing certificate. The buildSpCertificateStore function extracts the X.509 certificate directly from the incoming SAMLResponse instead of using the trusted pre-configured Identity Provider certificate, allowing an attacker to forge assertions signed with an attacker-controlled key.

CVE-2026-9091
A logic flaw in Casdoor's social‑login binding flow allows users to bypass configured MFA requirements. The binding‑rule code path in controllers/auth.go calls HandleLoggedIn directly without invoking checkMfaEnable. Any user authenticating via this path is logged in without MFA enforcement.

CVE-2026-9092
Casdoor contains a vulnerability involving unverified email binding that may enable account takeover. The getExistUserByBindingRule function matches users by email address without checking the email_verified claim returned from upstream providers, and the idp.UserInfo struct does not include a EmailVerified field. Therefore, an attacker can supply an unverified email claim from an upstream provider to take over accounts that use the same email address.

CVE-2026-9093
Casdoor's SAML service provider implementation does not validate the AudienceRestriction element in SAML assertions. Casdoor never sets the AudienceURI field to specify which service provider the assertion is intended for, and does not check for audience mismatch warnings alerted by WarningInfo.NotInAudience. As a result, Casdoor may improperly accept assertions that were issued for a different service provider.

CVE-2026-9094
Casdoor contains a vulnerability that enables cross-organization token exchange. The GetTokenExchangeToken function in object/token_oauth.go validates JWT signatures but does not verify that the token's user belongs to the same organization as the target application. This can result in privilege escalation across organizational boundaries.

CVE-2026-9095
Casdoor maps SAML assertions to user sessions without replay protection. The ParseSamlResponse() function in object/saml_sp.go calls sp.RetrieveAssertionInfo() and immediately maps the result to a user session. There is no assertion ID cache, OneTimeUse condition enforcement, or replay detection anywhere in the SAML SP code path. As a result, an attacker can replay a previously captured SAML assertion to obtain an authenticated session for the assertion’s subject, including administrator accounts, without needing the user’s password or MFA credentials.

CVE-2026-9096
Casdoor does not enforce SAML assertion time bounds. The gosaml2 library reports all time-validation results, including NotOnOrAfter and NotBefore, in the assertionInfo.WarningInfo field. However, ParseSamlResponse() never reads this field, meaning that time bounds are computed by the library but silently discarded before the user session is issued.

CVE-2026-9097
Casdoor does not verify that a JWT used for token exchange is still active. The GetTokenExchangeToken() function in object/token_oauth.go validates the JWT signature and parses its claims, but never queries the Token table to verify whether the subject token has been revoked or invalidated. Because the revocation check is entirely absent, administrators are unable to terminate active sessions or revoke compromised tokens.

CVE-2026-9098
The SAML callback handler in controllers/auth.go accepts any well-formed SAMLResponse sent to /api/acs without verifying that it corresponds to an AuthnRequest previously issued by Casdoor. Additionally, if an administrator disables or deletes an identity provider (IdP) after a SAML flow has started, the handler still processes the response using the provider snapshot loaded at the start of the request. As a result, an attacker controlling a registered upstream IdP can send unsolicited SAML responses, or replay a legitimately captured response in a different session or after the original flow has ended. In both cases, Casdoor accepts the response and issues a session, enabling persistent unauthorized access.

Impact

Exploitation of these vulnerabilities can allow attackers to impersonate users, bypass authentication controls, and escalate privileges across Casdoor deployments.

CVE‑2026‑9090, CVE‑2026‑9093, CVE‑2026‑9095, CVE‑2026‑9096, CVE‑2026‑9098:
Multiple flaws in SAML processing allow assertion forgery or replay, misuse of assertions across sessions, and the processing of expired or unsolicited SAML responses. Because certificate trust is not enforced, time bounds and audience restrictions are ignored, and responses are not correlated to prior AuthnRequests, attackers can submit malicious or previously-captured assertions to obtain authenticated sessions for arbitrary users, including administrators.

CVE‑2026‑9091, CVE‑2026‑9092:
Weaknesses in MFA protection and binding logic further contribute to the risk of account compromise, enabling attackers to bypass MFA and potentially take over other accounts via unverified email claims. An attacker can exploit these flaws to gain persistent unauthorized access by bypassing configured authentication requirements or security controls.

CVE‑2026‑9094, CVE‑2026‑9097:
The discovered token-exchange flaws enable cross‑organization privilege escalation and prevent administrators from reliably revoking tokens. Because user‑organization membership is not validated and token revocation status is not checked, compromised or malicious tokens may be exchanged for elevated privileges in other organizations, and administrators cannot reliably terminate active sessions.

Solution

Unfortunately, we were unable to reach the Casdoor team to coordinate this vulnerability, and a patch is not yet available. Users are advised to implement stricter identity governance controls and utilize external validation tools to better enforce application boundaries. Restrict identity provider (IdP) usage only to trusted providers, reinforce high-privilege accounts with additional authentication paths such as downstream MFA, and monitor logs for any unusual SAML or token activity to reduce the exploitability of these issues.

Acknowledgements

We extend our thanks to Zixu (Jason) Zhou (University of Toronto, PhD student), David Lie (University of Toronto, Professor), Ilya Grishchenko (University of Toronto, Postdoc), and Xiangyu Guo (University of Toronto, PhD student) for researching and reporting these vulnerabilities. This document was written by Molly Jaconski.

Az elmúlt években számos weboldal használt rejtett követési technikákat a látogatók böngészési előzményeinek, eszközlenyomatainak, billentyűleütéseinek és egérmozgásainak megfigyelésére.

Az FBI figyelmeztetést adott ki a Kali365 nevű phishing-as-a-service (PhaaS) platformmal kapcsolatban, amely a Microsoft 365-fiókok kompromittálására specializálódott. A szolgáltatás az OAuth 2.0 Device Authorization hitelesítési folyamatát kihasználva lehetővé teszi a támadók számára a többtényezős hitelesítés (MFA) megkerülését jelszavak vagy egyszer használatos kódok megszerzése nélkül. A módszer eredetileg olyan eszközök hitelesítésére szolgál, amelyek korlátozott beviteli […]

A Have I Been Pwned jelentése szerint a ShinyHunters nevű zsarolócsoport több mint 183 ezer ember személyes adataihoz férhetett hozzá, miután áprilisban kompromittálták a 7-Eleven kiskereskedelmi hálózat egyes rendszereit. A vállalat május 1-jén értesítette az érintett ügyfeleket arról, hogy a támadók április elején jogosulatlan hozzáférést szereztek a 7-Eleven bizonyos rendszereihez, és ismeretlen számú ügyfél személyes […]

Az Indian Computer Emergency Response Team (CERT-In) új irányelvet javasol az internethez kapcsolódó rendszerekben fellelhető kritikus sérülékenységek esetében. Javaslatuk szerint – amennyiben ez megvalósítható – a szervezeteket kötelesek 12 órán belül javítani ezeket a hibákat, hogy védelmet nyújthassanak a potenciális fenyegetésekkel szemben, amelyek során a rosszindulatú szereplők AI eszközöket és LLM-eket használnak. Ezzel a sebezhetőségek […]

Az Anthropic bejelentette, hogy hosszabb távon nyilvánosan is elérhetővé kívánja tenni a Mythos sérülékenységkutató MI teljesítményével vetekedő egyéb modelljeit

A Digital Knowledge KnowledgeDeliver LMS súlyos, javítás előtti sérülékenységét támadók webshell telepítésére, jogosultságmódosításra és Cobalt Strike-ot terjesztő hamis biztonsági frissítés kiszolgálására használták ki, rávilágítva a hardcoded titkos kulcsok súlyos kockázataira.

A Microsoft az új Defender for Endpoint funkció tesztelését végzi, amely automatikusan elkülöníti a kompromittált végpontokat, hogy megakadályozza a támadók oldalirányú mozgását a hálózaton. Mostantól előnézeti módban lesz elérhető a funkció és az automatikus támadásmegszakítás részeként fog működni annak érdekében, hogy megfékezzék a támadásokat, csökkentsék azok lehetséges hatásait, illetve hogy több időt biztosítsanak a biztonsági […]

A CISA elrendelte, hogy az amerikai kormányzati szerveknek legkésőbb szerdáig frissíteniük kell rendszereiket a Drupal tartalomkezelő rendszer (CMS) egy aktívan kihasznált SQL injection sérülékenység miatt. A Drupal-t jellemzően olyan nagy szervezetek használják, amelyek hatalmas adatstruktúrákat és több telephelyes telepítéseket kezelnek. Ilyenek például a kormányzati szervek, oktatási szervezetek, nagyobb kutatóegyetemek és magas rangú vállalatok és médiaszervezetek. […]

A Ghost tartalomkezelő rendszer (CMS) egy néhány hónappal ezelőtt javított sebezhetőségét kihasználva több száz weboldalt feltörtek, köztük olyan nagyobb szervezetek weboldalait is, mint a Harvard, az Oxford és a DuckDuckGo. A Ghost egy széles körben használt, nyílt forráskódú CMS (content management system), amelyet kifejezetten blogoláshoz, hírlevelekhez és publikáláshoz terveztek, továbbá beépített lehetőségeket kínál a részvételi […]

A Krebs állítása szerint a CISA számos felhőszolgáltatásához kapcsolódó digitális kulcsot hagyott szabadon, plain text formátumban – egyes esetekben nem tudni, hogy mennyi ideje lehettek ott. Ezt a problémát végül az elmúlt hétvégén orvosolták. Az adattároló egyes jelentések szerint „Private-CISA” néven volt megtalálható, és .CSV fájltípusban jelszavakat, bejelentkezési kulcsokat és tokeneket tartalmazott. A Krebs-nek adott […]

A Drupal egy nagyon súlyos core sérülékenységre adott ki javítást, amely a leírás szerint távoli kódfuttatáshoz, jogosultságemeléshez vagy információszivárgáshoz is vezethet. A hiba CVE-2026-9082 azonosítót kapta, és a PostgreSQL-t használó Drupal oldalak érintettek. A probléma azért különösen érzékeny, mert nem bejelentkezett támadók is ki tudják használni. A támadási felület egy API, amely a Drupal Core-ban […]

Az NGINX 1.31.0-ban egy új, javítatlan zero-day sérülékenységet azonosítottak, amelyet „nginx-poolslip” néven emlegetnek. A leírás szerint a hiba lehetővé teheti az ASLR megkerülését, majd végső soron távoli kódfuttatást is eredményezhet. Mivel az NGINX a világ aktív webhelyeinek nagyjából egyharmadát szolgálja ki, az érintett rendszerek száma potenciálisan rendkívül magas lehet. A hiba különösen aggasztó, mert a […]

Ismét reflektorfénybe került egy 2020-ban azonosított Windows-sebezhetőség, és a jelek szerint a legfrissebb biztonsági frissítésekkel ellátott rendszereken is működőképes.

Az App Store továbbra is kiemelt célpontja a különféle online visszaéléseknek, ezért az Apple az elmúlt években nemcsak emberi erőforrásokkal, hanem a mesterséges intelligencia segítségével is növelte a biztonsági és moderációs kapacitásait. A 2025-ös adatok alapján több mint 2,2 milliárd dollár értékű rosszindulatú tevékenységekkel összefüggő tranzakciót akadályozott meg, miközben a vállalat több millió gyanús alkalmazást, […]

Overview

A privilege escalation vulnerability, nicknamed "Dirty Frag," has been discovered in the Linux kernel versions 4.10 and later. This vulnerability is a result of chaining together two previously discovered vulnerabilities, xfrm-ESP Page-Cache Write CVE-2026-43284 and the RxRPC Page-Cache Write CVE-2026-43500. This vulnerability was publicly disclosed on May 07, 2026.

Description

Dirty Frag is a Linux kernel vulnerability affecting the IPv4/IPv6 fragmentation and reassembly subsystem. The issue stems from improper handling of overlapping or malformed fragment offsets during the reassembly process. An attacker capable of sending crafted network packets to a vulnerable host can exploit the flaw to trigger memory corruption conditions.

The publicly documented proof of concept demonstrates that fragmentation logic can be manipulated such that the kernel processes inconsistent fragment states, enabling a controlled write out-of-bounds scenario. When successfully exploited, this can result in local or remote denial of service (kernel panic) and, depending on configuration and kernel build options, may create a primitive for more advanced memory manipulation.

The vulnerability arises from insufficient validation of fragment metadata during reassembly, specifically around:

• Incorrect or incomplete enforcement of fragment boundary checks
• Acceptance of overlapping fragments in unsafe sequences
• Inadequate cleanup when transitions occur between valid and invalid fragment states

The fragment queue logic in affected kernels does not fully verify that fragment offsets, sizes, and overlap conditions remain consistent throughout reassembly. This allows malformed sequences to be processed without proper rejection.

Impact

The primary security concern is potential privilege escalation, similar in nature to the previously disclosed VU#260001 ("Copy Fail") vulnerability.

Depending on system configuration, kernel hardening features, and network exposure, successful exploitation may result in:

• Local or remote denial of service through kernel panic
• Memory corruption within the Linux networking stack
• Privilege escalation
• Container escape in certain containerized environments
• Additional exploit primitives when chained with other vulnerabilities

Solution Update Linux distribution

Update your distribution’s kernel package as soon as vendor patches become available. Most major Linux distributions are expected to release fixes through their standard update channels.

Workarounds (if patching is not immediately possible):

1) Disable at-risk modules (if loaded and loadable):
Use the following command to remove the modules in which the vulnerabilities occur and clear the page cache.
sh -c "printf 'install esp4 /bin/false\ninstall esp6 /bin/false\ninstall rxrpc /bin/false\n' > /etc/modprobe.d/dirtyfrag.conf; rmmod esp4 esp6 rxrpc 2>/dev/null; echo 3 > /proc/sys/vm/drop_caches; true"

Note: you can verify if a module is currently being used using lsmod and the Used field or reviewing refcnt data in /sys/module/<module_name>/refcnt for e.g., cat /sys/module/esp4/refcnt

2) If affected modules esp4, esp6, rxrpc are compiled into the kernel (not a dynamic module), the following parameter can be added to grub, systemd-boot, or grubby, depending on your boot configuration:
initcall_blacklist=esp4,esp6,rxrpc
This prevents the module from initializing at boot time. A system reboot is required for this change to take effect.

Mitigation for Containers

For containerized environments, where this vulnerability may be leveraged for container escape, consider applying one or more of the following mitigations:

• Secure computing (seccomp) filtering: Restrict or deny system calls that create sockets using the AF_ALG address family (protocol 38) and AF_RXRPC (protocol 33) .
• AppArmor policies: Use AppArmor to block creation of AF_ALG sockets and AF_RXRPC via the network alg rule.
• eBPF-based enforcement: Deploy BPF-based controls to deny socket creation with address family AF_ALG (38) and AF_RXRPC (33).

Acknowledgements

This vulnerability was disclosed by Hyunwoo Kim. This document was written by Bob Kemerer.